Addendum de Tratamiento de Datos Personales (DPA)

1. Definiciones

Datos Personales: cualquier información concerniente a una persona identificada o identificable. Una persona es identificable cuando su identidad puede determinarse, directa o indirectamente, a través de cualquier información.

Datos Personales Sensibles: aquellos que se refieren a la esfera más íntima del Titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste. De manera enunciativa y no limitativa, incluyen datos que revelen origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas, filosóficas o morales, opiniones políticas y preferencia sexual.

Encargado: la persona física o moral, pública o privada, ajena a la organización del Responsable, que sola o conjuntamente con otras trata Datos Personales por cuenta del Responsable, como consecuencia de una relación jurídica que delimita su actuación para la prestación de un servicio.

Remisión: la comunicación de Datos Personales exclusivamente entre el Responsable y el Encargado, dentro o fuera del territorio mexicano, para que el Encargado realice el Tratamiento por cuenta del Responsable.

Responsable: la persona física o moral de carácter privado que decide sobre el Tratamiento de los Datos Personales.

Titular: la persona física a quien corresponden los Datos Personales.

Transferencia: toda comunicación de Datos Personales, dentro o fuera del territorio mexicano, realizada a una persona distinta del Titular, del Responsable o del Encargado.

Tratamiento: la obtención, uso, divulgación o almacenamiento de Datos Personales, por cualquier medio, incluidos procedimientos automatizados. El uso comprende cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de los Datos Personales.

2. Tratamiento de Datos Personales por cuenta del Cliente

2.1. Con motivo de la relación comercial, la prestación de los servicios y el uso de la Plataforma podrán implicar que el Cliente remita Datos Personales a Random Truffle, permita su acceso o los utilice para generar outputs. Respecto del Tratamiento realizado por su cuenta, el Cliente actuará como Responsable y Random Truffle como Encargado.

2.2. El Cliente será responsable de que las finalidades de dicho tratamiento estén contempladas en el aviso de privacidad aplicable y de obtener el consentimiento de los Titulares cuando resulte exigible conforme a la legislación aplicable.

2.3. Random Truffle actuará como Encargado y tratará los Datos Personales de forma confidencial y únicamente por cuenta del Cliente, para prestar los servicios, permitir el uso de la Plataforma e implementar, mantener, proteger y mejorar su funcionamiento operativo. El Tratamiento se realizará conforme a las instrucciones lícitas del Cliente, a este DPA, a la legislación aplicable y a los estándares de protección y tratamiento de datos correspondientes. Dichas instrucciones incluyen las operaciones habituales necesarias para estos fines, sin que sea necesario reiterarlas para cada operación y siempre dentro de las finalidades y límites acordados.

2.4. Random Truffle actuará como Responsable independiente respecto de los Datos Personales de los representantes y personas de contacto del Cliente que trate para dar acceso a la Plataforma, gestionar la relación comercial, o cumplir sus obligaciones legales. Dicho Tratamiento se regirá por la legislación aplicable y por su Aviso de Privacidad, y quedará excluido del ámbito de aplicación del presente DPA. Las obligaciones previstas en este DPA se aplicarán exclusivamente al Tratamiento que Random Truffle realice como Encargado por cuenta del Cliente.

2.5. Para efectos del presente DPA, toda referencia a “Datos Personales” se entenderá limitada a aquellos que Random Truffle trate en calidad de Encargado por cuenta del Cliente, quedando excluidos los que trate como Responsable independiente en los términos del apartado anterior.

3. Limitación de finalidad

3.1. Random Truffle se compromete a no:

• i. tratar los Datos Personales para finalidades distintas de las previstas en la cláusula anterior;
• ii. vender, rentar, comercializar, compartir ni divulgar los Datos Personales a terceros, salvo lo permitido expresamente por este DPA;
• iii. usar los Datos Personales para publicidad, perfilamiento o enriquecimiento de bases de datos en beneficio de otros clientes o para finalidades propias;
• iv. utilizar Datos Personales para entrenar, ajustar o evaluar modelos de inteligencia artificial de uso general, salvo autorización previa y escrita del Cliente; ni
• v. intentar reidentificar a los Titulares a partir de datos anonimizados o disociados.

4. Obligaciones del Cliente

4.1. El Cliente declara y garantiza que:

• i. cuenta con una base jurídica válida o, cuando resulte exigible, con el consentimiento del Titular para recabar, usar, remitir y, en su caso, transferir los Datos Personales a Random Truffle;
• ii. ha puesto a disposición de los Titulares un aviso de privacidad que describe las finalidades, categorías de datos, medios ARCO, transferencias y demás elementos exigibles por la ley aplicable;
• iii. solo proporcionará los Datos Personales necesarios y proporcionales para las finalidades acordadas entre las partes; y
• iv. no proporcionará los Datos Prohibidos definidos en el Anexo 1, salvo acuerdo previo y escrito de las Partes que actualice dicho Anexo y establezca las finalidades y medidas de protección aplicables, conforme a la legislación vigente.

4.2. El Cliente será responsable de la calidad, licitud y exactitud de los Datos Personales que ponga a disposición de Random Truffle.

5. Confidencialidad y acceso

5.1. Random Truffle limitará el acceso a los Datos Personales a sus empleados y a los Subencargados (definidos en la Cláusula 9) que necesiten conocerlos para prestar sus servicios u operar, mantener y dar soporte a la Plataforma. Estas personas estarán sujetas a obligaciones de confidencialidad por escrito que subsistirán después de terminar su relación con Random Truffle.

5.2. Random Truffle aplicará controles de acceso basados en el principio de mínimo privilegio, revisión periódica de permisos y revocación oportuna de accesos.

6. Medidas de seguridad

6.1. Random Truffle establecerá y mantendrá medidas administrativas, técnicas y físicas razonables y proporcionales al riesgo, considerando la naturaleza de los Datos Personales, el volumen y las finalidades del Tratamiento. Como mínimo, las medidas incluirán:

• i. cifrado de datos en tránsito y, cuando sea aplicable, en reposo;
• ii. controles de identidad, registro de accesos y segregación lógica por cliente;
• iii. gestión de vulnerabilidades, actualizaciones de seguridad y pruebas razonables;
• iv. respaldos y procedimientos de recuperación;
• v. capacitación periódica de personal;
• vi. procedimientos para gestión de incidentes;
• vii. evaluación de proveedores y compromisos contractuales de confidencialidad, privacidad y seguridad; y
• viii. eliminación o disociación segura de Datos Personales al concluir su finalidad.

6.2. A solicitud del Cliente, Random Truffle proporcionará una descripción actualizada de sus controles relevantes, certificaciones disponibles, reportes de auditoría o cuestionarios de seguridad, sujetos a obligaciones de confidencialidad.

7. Incidentes de seguridad

7.1. Random Truffle notificará al Cliente a la brevedad posible y, en la medida posible, dentro de las 48 (cuarenta y ocho) horas siguientes a tener conocimiento de un incidente de seguridad que afecte los Datos Personales.

7.2. La notificación incluirá, conforme esté disponible:

• i. la naturaleza del incidente;
• ii. categorías y volumen aproximado de Datos Personales y Titulares involucrados;
• iii. fecha o período probable;
• iv. medidas de contención, investigación, mitigación y remediación;
• v. y datos de contacto del responsable de coordinar la respuesta.

7.3. Random Truffle cooperará razonablemente con el Cliente para investigar, contener y remediar el incidente. El Cliente, como Responsable, determinará si procede notificar a los Titulares o a la autoridad competente, salvo que la ley exija una actuación directa de Random Truffle.

7.4. La atribución del incidente al Cliente o a sus Usuarios no excluirá las obligaciones de notificación ni las medidas de contención y seguridad que correspondan a Random Truffle, sin perjuicio de la distribución de responsabilidades y costes aplicable.

8. Solicitudes de Titulares y autoridades

8.1. Si Random Truffle recibe una solicitud de ejercicio de derechos ARCO o de revocación del consentimiento, una reclamación o un requerimiento de autoridad relacionado con los Datos Personales, lo notificará al Cliente a la brevedad posible, siempre que la ley lo permita. Random Truffle únicamente responderá sobre el fondo del asunto cuando esté obligado a ello por una disposición legal o un requerimiento vinculante de autoridad competente, y limitará su respuesta a lo estrictamente exigido.

8.2. No obstante lo anterior, Random Truffle proporcionará asistencia razonable para que el Cliente pueda atender solicitudes de Titulares, investigaciones, auditorías o requerimientos relacionados con sus servicios. Random Truffle colaborará con el Cliente, previa solicitud de este, en la realización de evaluaciones de impacto o análisis de riesgos relativos al Tratamiento de Datos Personales asociado a sus servicios. Esta colaboración se limitará a facilitar la información pertinente de la que disponga Random Truffle y que el Cliente no pueda obtener razonablemente por otros medios.

9. Subencargados

9.1. Random Truffle podrá contratar a terceros que resulten necesarios para la prestación de los servicios y la Plataforma, incluyendo proveedores de infraestructura tecnológica, alojamiento, almacenamiento, analítica, soporte u otros servicios relacionados. Dichos terceros tendrán el carácter de Subencargados.

9.2. El Cliente autoriza a Random Truffle a contratar los Subencargados identificados en el Anexo 2 y a incorporar o sustituir Subencargados conforme al siguiente procedimiento:

• i. Random Truffle notificará los cambios al contacto designado por el Cliente con al menos 30 (treinta) días naturales de anticipación al acceso del nuevo Subencargado a los Datos Personales, indicando su identidad, servicio y país o región de Tratamiento;
• ii. Durante ese plazo, el Cliente podrá objetar por escrito con fundamento en la legislación aplicable en materia de protección de datos personales.
• iii. Random Truffle evaluará la objeción y procurará resolverla mediante medidas de protección adicionales o una alternativa razonable. Mientras se resuelve, el nuevo Subencargado no tendrá acceso a los Datos Personales del Cliente.
• iv. Si el Cliente no presenta una objeción dentro del plazo señalado, los cambios notificados quedarán incorporados al Anexo 2 y Random Truffle podrá utilizar los nuevos Subencargados a partir de la fecha indicada en la notificación.

9.3. Random Truffle seleccionará Subencargados que cuenten con medidas de seguridad y protección de datos adecuadas a la naturaleza de los servicios que presten. Random Truffle celebrará con cada Subencargado un instrumento jurídico que establezca obligaciones de protección de datos al menos equivalentes a las previstas en este DPA y, en particular:

• i. limitará el acceso del Subencargado a los Datos Personales a lo estrictamente necesario para prestar, mantener o dar soporte a los servicios; y
• ii. impondrá al Subencargado medidas de seguridad no menos protectoras que las previstas en este DPA, en la medida aplicable a los servicios que preste.

9.4. Random Truffle será responsable frente al Cliente por los incumplimientos de sus Subencargados en relación con este DPA, salvo que las Partes acuerden expresamente lo contrario por escrito.

10. Remisiones, transferencias y tratamiento internacional

10.1. La puesta a disposición de Datos Personales a Random Truffle constituye una remisión para las finalidades previstas en este DPA y no autoriza a Random Truffle a usarlos para finalidades propias.

10.2. Random Truffle no comunicará Datos Personales a terceros distintos de sus Subencargados autorizados, salvo que el Cliente lo solicite o cuando una disposición legal o un requerimiento vinculante de autoridad competente lo exija. Cuando el Tratamiento implique acceso desde otro país o almacenamiento en él, Random Truffle se asegurará de que el proveedor y los acuerdos aplicables ofrezcan medidas de privacidad, confidencialidad y seguridad adecuadas. El Anexo 2 identificará los países o regiones principales de procesamiento y almacenamiento.

11. Conservación, devolución y eliminación

11.1. Salvo que las Partes acuerden un plazo distinto, Random Truffle conservará los Datos Personales únicamente durante el tiempo necesario para prestar los servicios y/o dar acceso a la Plataforma, o por el plazo adicional que exija una obligación legal.

11.2. Una vez concluidas las finalidades del Tratamiento, Random Truffle procederá a la devolución o eliminación de los Datos Personales dentro del plazo que las Partes acuerden o, en ausencia de acuerdo, sin demora injustificada, salvo que una obligación legal exija su conservación. A solicitud del Cliente, Random Truffle confirmará por escrito la devolución o eliminación realizada.

12. Misceláneos

12.1. Vigencia. Este DPA entrará en vigor cuando el Cliente acepte los términos y condiciones, el acuerdo que lo incorpore por referencia, o cuando las Partes lo acepten directamente, y permanecerá vigente mientras Random Truffle trate Datos Personales por cuenta del Cliente dentro de su ámbito de aplicación. La persona que lo acepte en nombre del Cliente deberá contar con facultades suficientes para obligarlo.

12.2. Subsistencia de obligaciones. Las obligaciones de confidencialidad, seguridad, devolución/eliminación y cooperación respecto de incidentes sobrevivirán mientras Random Truffle o sus Subencargados conserven Datos Personales.

12.3. Prelación contractual. Este DPA prevalecerá sobre la Licencia, los T&C y cualquier otro acuerdo que lo incorpore por referencia, exclusivamente respecto del Tratamiento de Datos Personales que Random Truffle realice como Encargado por cuenta del Cliente. Cualquier acuerdo específico de tratamiento de datos personales celebrado por escrito por representantes debidamente facultados de ambas Partes prevalecerá sobre este DPA únicamente respecto de los Tratamientos que dicho acuerdo identifique y en aquello que regule expresamente. En lo no previsto en ese acuerdo específico, continuará aplicándose este DPA.

12.4. Modificaciones. Las modificaciones a este DPA deberán constar por escrito y estar aceptadas por ambas partes.

12.5. Comunicaciones. Las comunicaciones relacionadas con este DPA se realizarán a través de los medios y contactos establecidos que las Partes designen para estos efectos.

12.6. Legislación Aplicable: La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, sus disposiciones reglamentarias y lineamientos, en lo que resulten aplicables, así como las demás disposiciones en materia de protección de datos personales aplicables en México, incluidas las contenidas en los tratados internacionales de los que México sea parte.

DETALLES DEL TRATAMIENTO

Este Anexo describe las actividades de Tratamiento asociadas a la Plataforma Random Truffle, que se realizarán únicamente en la medida necesaria para el alcance contratado, conforme a las instrucciones del Cliente, que incluyen las operaciones habituales de Tratamiento necesarias para operar la Plataforma, y dentro de las finalidades y límites acordados en el DPA. Su inclusión no implica que todas ellas se realicen en cada contratación.

Cuando otros servicios impliquen Tratamientos no comprendidos en este Anexo, las Partes deberán documentar previamente su alcance en un anexo adicional sujeto a este DPA.

Objeto y finalidades

Tratamiento de Datos Personales por cuenta del Cliente para habilitar el acceso, uso y funcionamiento de la Plataforma y ejecutar las funcionalidades utilizadas por el Cliente conforme al alcance contratado y a sus instrucciones. Random Truffle podrá acceder a dichos datos en la medida necesaria para operar la Plataforma, realizar tareas de monitoreo técnico, soporte y mantenimiento, y proteger su seguridad, integridad y disponibilidad, así como las de los Datos Personales tratados en ella.

Duración

Durante la vigencia del acceso a la Plataforma y conforme a lo previsto en el DPA.

Naturaleza de las operaciones

Recepción, acceso, consulta, registro, estructuración, almacenamiento, análisis, integración mediante APIs, generación de reportes y outputs, activación de campañas, devolución y eliminación de Datos Personales, según corresponda al alcance contratado y dentro de las finalidades y límites establecidos en el DPA y en este Anexo.

Categorías de Titulares

Clientes, prospectos, usuarios de sitios web o aplicaciones, suscriptores y contactos comerciales del Cliente cuyos Datos Personales sean tratados por Random Truffle por cuenta de este.

Categorías de datos

Identificadores en línea, eventos de navegación o uso, datos de campañas, identificadores pseudonimizados, correo electrónico, datos de contacto, datos transaccionales y de compras, y segmentos o audiencias autorizadas.

Datos prohibidos

El Cliente no deberá facilitar, remitir ni poner a disposición de Random Truffle datos personales sensibles, datos personales de menores de edad, datos biométricos, datos de salud, números de cuentas bancarias o tarjetas de pago, códigos de seguridad de tarjetas, credenciales de acceso bancario, contraseñas, imágenes de documentos de identidad ni datos de geolocalización precisa (los “Datos Prohibidos”).

Si Random Truffle detecta Datos Prohibidos, lo notificará al Cliente sin demora injustificada y podrá restringir el acceso a los datos afectados en la medida necesaria para protegerlos. El Cliente deberá retirarlos o proporcionar instrucciones para su devolución o eliminación, conforme al presente DPA. Su recepción accidental no ampliará el alcance del Tratamiento autorizado ni eximirá a Random Truffle de sus obligaciones de seguridad y confidencialidad.

SUBENCARGADOS AUTORIZADOS